DOS - come si comportano i vari ISP?

[EvolutionCrazy]

E' la prima volta che mi trovo a subire un DOS in Italia...

Nell'attesa di riuscire ad avere qualche info dall'ISP mi chiedo come si comportino in generale gli altri fornitori offerte flat/a volume:

Vengono lasciate UP le macchine perchè tanto la banda è flat (o sotto i limiti mensili) e quindi non ci sono problemi e lasciano tutto su oppure staccano tutto?

[usu]

Lasciare UP e tentare di filtrare a monte non è un'opzione contemplata? xD

[EvolutionCrazy]

non ne ho idea, chiedevo appunto.

Nel mio caso, per i pochi minuti in cui il server è rimasto collegato alla rete il traffico che arrivava alla macchina era di soli 50mbit (su una porta da 100) con una media di 120000 pps...

La macchina con una paio di regole iptables riusciva a gestirlo tranquillamente e c'era abbastanza banda per far funzionare tutti i servizi senza che si notassero rallentamenti

Dall'ISP ancora non so nulla... mi è soltato arrivata un'email che mi informava del ddos facendomi notare che sarà deciso lunedì il da farsi... intanto resta scollegata per non causare danni alla rete dell'isp :/

[usu]

Mi sembra assurdo O.o
All'estero non mi è mai capitato, mi hanno sempre lasciato UP il server, ma non ho esperienze italiane. Aspettiamo qualcun altro...
E piemmami/diemmami il nome del provider :P

[EvolutionCrazy]

boh... avendo 10tb/mese una settimana sotto 50mbit continui di dos dovrebbe comunque permettermi di stare dentor il volume

sinceramente apprezzo il fatto che non venga conteggiata la banda e venga staccato (pensa tipo se succede da altri ISP che danno moolta meno banda... tipo 300gb al mese... e l'eccesso lo fanno pagare al gb anzichè limitare la velocità della porta...) però preferei avere almeno la possibilità di scelta dopo il primo intervento se vedo di volerlo provare a gestire

[usu]

Leaseweb dove avevo un contratto di 4TB/mese su 100mbit mi aveva assicurato che in caso di DDoS avrebbero lasciato tutto up senza conteggiare la banda consumata
Capisco che per un provider piccolo questo possa non essere fattibile, ma al massimo stacchi ai 10TB non prima lasciando tutto down...

[EvolutionCrazy]

arrivata la proposta da parte dal provider: disconnessione definitiva Oo

aiutooooo

[superjeff]

Qual'è il provider? Giusto per sapere da cosa stare distanti...

[EvolutionCrazy]

è italiano... non ho ancora capito bene nemmeno io cos'è successo/sta succedendo... quindi prima di creare inutili allarmismi aspetto per vedere come procede la situazione.

Sicuramente quando sarà tutto finito aprirò un bel thread di riepilogo con i dettagli... spero parteciperanno anche altre persone che si sono trovate nella mia situazione in modo da capire come mai succedono queste cose

[DonChisciotte]

ma e' veramente una cosa assurda che ti stacchino totalmente.
mi sa che non hanno alcuno strumento in grado non dico di bloccare, ma quantomeno di mitigare il dDoS che, comunque, il tuo server ha correttamente gestito.

mi sa che comunque l'unica scelta possibile e' quella di cambiare farm...

quando s'e' capito qualcosa dacci maggiori dettagli.

ciao

[SeFlow]

Salve,
giusto perl a cronaca, l' ISP italiano siamo noi.

Vorrei precisare hce il ddos non è stato di 50Mb ma di 900Mb. il cliente poi vede meno perchè la sua porta non è gigabit.

Il motivo della disconnessione definitiva è che negli ultimi giorni lo stesso server aveva ricevuto circa 5 ddos, tantè che l' abbiamo filtrato i primi due giorni (di cui il cliente stesso si era accorto lui stesso di alcuni rallentamenti e nulla più).

La linea dura è stata decisa da circa 3 settimane a questa parte in quanto negli ultimi 2 mesi abbiamo ricevuto una media di 3ddos al giorno e tutti (voglio sottolineare tutti ) erano rivolti a clienti che usavano il server per fare gaming.

Come funzionano i ddos e i disagi che portano li conoscono tutti, dal 25 febbraio a ieri 17 Aprile abbiamo ricevuto ben 118 ddos rilevati dai nostri monitor. Di questi ne ho analizzati personalmente uno ad uno e tutti sono verso clienti che giocano coi server (quindi che fanno gaming).

Questa tipologia di clienti è avara di banda, ma avendo un budget limitatissimo non vuole e non può spendere per soluzioni di filtering avanzate delegando alla società tutti gli oneri di questo compito e sappiamo tutti quanto gli apparati costino. Noi usiamo i blacklotus, ma durante un'attacco volente e nolente la rete, anche se in parte, ne risente.

La soluzione è quindi l' unica percorribile, se si riceve un ddos e si è un cliente che gioca col server si mette l' ip in null route, se il ddos è continuato si chiude il contratto.

Cosa diversa se si parla di gente che fa reale business, in quel caso loro stessi si mettono a disposizione per trovare soluzioni di filtering adeguate alle singole esigenze.

Inoltre voglio sottolineare che è impossibile che, per ddos sopra i 70-75mbps il server venga lasciato aperto, senza soluzioni di filtering o altro perchè sopra tale limite è lo stesso switch del rack ad avere problemi creando disservizi a tutti i clienti nello stesso rack.

Cordiali Saluti

[DonChisciotte]

Salve,
giusto perl a cronaca, l' ISP italiano siamo noi.

mi piace la trasparenza che date qui sul forum. complimenti!

Vorrei precisare hce il ddos non è stato di 50Mb ma di 900Mb. il cliente poi vede meno perchè la sua porta non è gigabit.

ok, allora le cose stanno un pelo diverse da come le ha descritte EvolutionCrazy, che, a quanto ho capito, non ha nemmeno accesso a determinate informazioni e che quindi ha fornito cio' che riusciva ad avere.

forse, pero', ad un cliente che subisce molti e frequenti attacchi, prima della rescissione del contratto andrebbe proposta una soluzione ad-hoc per il filtraggio dei dDoS.
se poi il cliente non accetta perche' magari e' una soluzione troppo costosa, allora si passa alla rescissione del contratto.

oppure, se si vuole eliminare il problema alla radice, si mette nei termini di servizio che non sono ammessi game server: forse perdi un po' di clientela, ma anche i relativi attacchi dDoS.
dipende da cosa e' piu' conveniente.

ciao

[AndDM]

Per la mia esperienza, un provider estero (che non è l'ultimo venuto) ha chiuso il server per 24 ore dopo un attacco subito, nonostante il server sia stato spento e l'attacco sia stato annunciato con largo anticipo (annuncio ignorato). Dalle miei richieste ad altri provider, sembra sia una pratica comune.

Saluti.

[EvolutionCrazy]

(provo a rispondere di corsa)

Non sapevo (ne immaginavo) che l'attacco fosse di quel tipo... non mi è mai stato detto nulla... ne nei giorni scorsi ne prima...

L'ultimo contatto che ho avuto con l'isp era per segnalare problemi di connettività (rete sparita per 5minuti) è stata il 15marzo (chiusa perchè non avevo tracert per capire dove stesse il problema)... i grafici sono sempre stati regolari e senza nessun picco per 12mesi
non ho mai in 12mesi ricevuto segnalazioni di problemi...
avrei sicuramente fatto il possibile per sistemare le cose, pagando quel che serviva o quel che andava fatto...

capisco pienamente il mettere offline.. infatti anch'io (salvo rari casi tipo OVH che ha retto 10gbit di ddos contro wikileaks per 150euro/mese) di solito vedo andare offline per la durata dell'attacco

La cosa che mi dispiace è che non sono stato contatto negli episodi precedenti ne mi sono state proposte soluzioni

I server non sono usati "per giocare" ma per dare servizi... come banda venivano usati mediamente 2tb rispetto ai 10tb/mese acquistati
Non vedo la differenza rispetto ai server che amministro per conto di clienti (che ho fatto mettere da seflow) e che usano molta più banda di quanta ne usassi io... mi vengono i brividi pensare se dovesse arrivare lo stesso ddos a loro...

nel mio caso, visto l'uso e la disponibilità di varie macchine temporanee all'estero abbondantemente sovradimensionate, anche 24h di disservizio ci stanno... ma per un sito web la chiusura del contratto a causa di attacchi simili sarebbe un grosso problema :/

[EvolutionCrazy]

tra un po' si potrà stilare una lista di ISP che vietano i gameservers (PS: ma a gameservers.com e multiplay.co.uk seflow ha già annunciato che i gameservers non sono i benvenuti da loro?)

Restando al piccolo mercato italiano mi ha dato fiducia Aruba... alla domanda se un episodio così risulta in cancellazione del contratto ho potuto percepire un sorriso dall'altro capo del telefono

Poi mi sono guardato i grafici leaseweb:
LeaseWeb | NOC

e sono abbastanza convinto che anche in Olanda ho scelto il partner giusto

boh... ho ancora le idee un po' confuse sulla situazione... ma gli ISP top a livello europeo (parliamo degli ovh, leaseweb, hetzner... etc... di cui tutti parlano male e a cui tanti vogliono paragonarsi...) con cui ho a che fare non si fanno il benchè minimo problema per i gameservers... o almeno così dicono... mah...